INSTITUTIONEN FÖR TILLÄMPAD IT. i samarbete med. VästKom. Uppdragsrapport. Effektutvärdering av nanoutbildning i informationssäkerhet

Transkript

1 INSTITUTIONEN FÖR TILLÄMPAD IT i samarbete med VästKom Uppdragsrapport Effektutvärdering av nanoutbildning i informationssäkerhet Magne Alver, Niklas Bernhardtz, Daniel Erenstedt, Fredrik Hultengren

2 Sammanfattning Totalt 22 kommuner blev inbjudna att ta del av två korta enkäter för att utvärdera den effekt som en nanoutbildning i informationssäkerhet har gett. Den ena enkäten skickades ut till deltagare av utbildningen medan den andra var ägnad till de som var ansvariga för utbildningen. Den effekt som är tydlig efter denna utbildning är att nanoutbildningskonceptet är uppskattat och upplevs vara ett effektivt alternativ till andra utbildningsformer. Utbildningsdeltagarna upplevde överlag en kunskapsökning på ca 24 %, men desto mer värt att belysa är hur grundnivån i informationssäkerhetskunskap höjts markant med ytterst få som upplever att de fortfarande har dålig kunskap om ämnet. Informationssäkerhetsmedvetenheten är således mycket bättre efter utbildningen än tidigare. Exkluderat individer som ansåg sig ligga på den högsta möjliga nivån (5), förändrade drygt en fjärdedel av de deltagande inte sin kunskapsnivå efter utbildningen. Av dessa var ca 67,5 % personer som ansåg sig själva redan besitta kunskaper motsvarande 4 av maximalt 5. Vi drar således slutsatsen att nanoutbildningar är väl värda sina kostnader och bör även användas inom andra områden än informationssäkerhet. 1

3 Innehållsförteckning Sammanfattning 1 Innehållsförteckning 2 Bakgrund 3 Uppdraget 3 Västkom 4 Metod 4 Resultat 5 Resultat för utbildningsdeltagare 5 Återkommande kommentarer för Beter du dig annorlunda? 10 Resultat för utbildningsansvariga 11 Slutsats 12 BILAGA 1 13 Enkätfrågor till utbildningsansvariga 13 Enkätfrågor till utbildningsdeltagare 14 2

4 Bakgrund Det finns ett tydligt behov av breddutbildningar inom den offentliga sektorn, ett särskilt angeläget område är informationssäkerhet. I maj 2018 träder EU:s nya dataskyddsförordning General Data Protection Regulation, GDPR, i kraft. Detta ersätter PUL som gäller idag. Samtidigt är utbildningar dyra och tidskrävande, i synnerhet när det behövs för samtliga anställda. Som svar på detta har många kommuner i Sverige köpt in en utbildningsform - nanoutbildning. Drygt hälften av kommunerna i Västra Götaland har gått i samma fotsteg och köpt in detta för att genomföra nanoutbildningar för sin personal. Nanoutbildningar är korta och enkla, tar vanligtvis runt 2-5 minuter att genomföra och är väl anpassade för anställda i en intensiv arbetsmiljö. Dessa genomförs i webbläsaren - oftast via mailutskick. Nanoutbildningar är substitut till traditionella e-utbildningar där det vanligtvis kräver en betydligt större insats för de som medverkar, oftast kanske under en enda dag. Utan uppföljning leder detta till att individer inte tar till sig så mycket information som hade önskats. Med nanoutbildningar får istället användare kontinuerliga utbildningar inom ett visst område varje vecka under ett antal månaders tid. En fördel med nanoutbildningar blir därför att till följd av att de är så korta, krävs ingen avsatt tid för anställda att genomföra utbildningar. Samtidigt är kostnaden avsevärt lägre än för traditionella e-utbildningar. Uppdraget Kommuner såväl som andra stora organisationer har behov av att utbilda kommunens medarbetare. Utbildning kan ske på flera olika sätt och via olika kanaler och plattformar. Ett angeläget utbildningsområde är informationssäkerhet. Drygt hälften av kommunerna i Västra Götaland har köpt in en plattform för att genomföra nanoutbildningar för sin personal. Uppdraget innebär: Att göra en effektvärdering på genomförda nanoutbildningar kring informationssäkerhet. Uppdragsgivare är Maria Nilsson, IT-strateg vid Skaraborgs kommunalförbund. Akademisk handledare är docent Kalevi Pessi, institutionen för Tillämpad IT, Göteborgs universitet. 3

5 Västkom Västsvenska kommunalförbundens samorganisation (VästKom) är en sammanslutning som arbetar på uppdrag av de fyra existerande kommunalförbunden i Västra Götaland: Boråsregionen Sjuhärads Kommunalförbund, Fyrbodals Kommunalförbund, Göteborgsregionens Kommunalförbund och Skaraborgs Kommunalförbund. VästKom företräder de 49 kommuner som ingår i sammanslutningen och driver deras intressen på regional nivå. VästKom har sitt formella säte i Skövde och kansliet som handhar VästKoms administration och löpande verksamhet finns i Göteborg. Metod Effektvärderingen gjordes med hjälp av en till stor del kvantitativ enkät där syftet var att ta reda på de anställdas åsikter och synpunkter om den nanoutbildning i informationssäkerhet som genomförts. I enkäten tillfrågades de anställda både om nanoutbildningar som utbildningsform men även om den upplevda kunskapsnivån inom ämnet informationssäkerhet. Ytterligare en enkät utformades för de ansvariga för utbildningarna där frågorna var mer kvalitativa i sin natur. Efter insamlingen av data överfördes det till ett excelark där resultatet sammanställdes och illustrerades med hjälp av diagram och andra illustrationer. Enkäten som gick ut till personer i ledningsposition var mer fokuserad på kvalitativa frågor och gav utrymme för mer djupgående motiveringar. En fråga ställdes om utbildningen hade modifierats något utifrån aktuell kommun och om personen i ledningsposition märkt någon skillnad i de anställdas beteende avsett informationssäkerhet. Enkätfrågorna utformades utifrån det behov som fanns med hjälp av input från handledare Kalevi Pessi och uppdragsgivare Maria Nilsson. Eftersom det inte fanns någon föreliggande data vad gäller säkerhetsbrister fanns heller ingen möjlighet att jämföra konkret data före och efter. Till följd av detta konstaterades att alla frågor måste baseras kring åsikter och subjektiva uppfattningar hos de anställda. Graderingen på enkäten sträcker sig från Dålig(t) (1) till Utmärkt (5). Enkäterna skickades ut till följande (totalt 22) kommuner: Ale, Bengtsfors, Bollebygd, Essunga, Falköping, Grästorp, Göteborg, Götene, Hjo, Kungsbacka, Lerum, Lidköping, Mellerud, Mölndal, Skara, Skövde, Tanum, Tibro, Tidaholm, Uddevalla, Vänersborg och Åmål. 4

6 Resultat Resultat för utbildningsdeltagare Diagram 1 Lidköping utgör den absolut största andelen av respondenter, men det finns ett gott antal från samtliga kommuner med undantag för Lerum och till viss del Tanum. Den 14/1/2018 är det totala antal respondenter 953 stycken. Diagram 2 5

7 Vi ser ett tydligt positivt intryck av nanoutbildningar, de allra flesta graderar dem som 4 eller 5 men fortfarande med en anmärkningsvärd andel som anser nanoutbildningar vara mediokra (3). Medelvärdet ligger på precis under 4 (3,98). Det är endast ett fåtal som graderar utbildningsformen med en 1:a eller 2:a. Diagram 3 Det finns påtagliga skillnader mellan kommunerna vad gäller åsikter om nanoutbildningar som utbildningsform. Samtliga svarande kommuner har dock valt att anpassa sin utbildning något från det standardpaket som köpts in, men hur mycket detta påverkar upplevelsen av utbildningen kan vi inte svara på. 6

8 Diagram 4 För majoriteten av de svarande är utbildningsformen en helt ny upplevelse. Diagram 5 7

9 Personer som deltagit i nanoutbildningar tidigare har en något lägre åsikt om nanoutbildningar som utbildningsform, men ligger trots detta fortfarande på en god nivå. Vad som får personer med tidigare erfarenheter av nanoutbildningar att gradera det lägre är inte möjligt att besvara med den data som samlats in. Diagram 6 I syfte att få svaranden att jämföra sin kunskapsnivå innan utbildningen med efter gavs möjligheten att gradera sin förmåga på en skala 1-5 där 1 är lägst (på enkäten beskriven Dålig ) och 5 är högst (på enkäten beskriven Utmärkt ). En relativt ojämn spridning kan ses där majoriteten anser sig vara medelmåttiga (3). Medelvärdet låg på 3,20. Innan utbildning var det 640 personer som upplevde en kunskapsnivå på 3 eller lägre. För endast 1 och 2 var det avsevärt färre personer. Efter utbildningen sker ett tydligt hopp på ca ett steg på skalan gällande kunskapsnivån. Medelvärdet har höjts från 3,20 till 3,97, dvs. en ökning på ca 24 %. Efter utbildningen är det 164 personer som upplevde en kunskapsnivå på 3 eller lägre gentemot 640 tidigare. Antalet för 1 och 2 är dock endast 19 personer jämfört med de tidigare 169 stycken. De personer som tidigare ansåg sig besitta en kunskapsnivå på 1 har efter utbildningen i snitt en upplevd kunskapsnivå på 2,95. För de som upplevde sin nivå som 2 blev resultatet istället ett snitt på 3,47. Ökningarna är överlag som störst för 8

10 dessa personer medan personer som ansåg sig själva vara på nivå 3 eller 4 hade mildare ökningar. En tänkbar anledning till detta är att personer som upplevde sig ha ett okej till ett väldigt bra säkerhetstänk inte behövde ta till sig informationen i utbildningen då de redan besatt den kunskapen. Med en sammanslagning mellan de som svarade 1 och 2 är medelvärdet innan utbildningen 1,89 medan medelvärdet efter är 3,41. Nästan en fjärdedel (24,6 %) förändrade inte sin upplevda kunskapsnivå efter utbildningen. Dock bestod dessa till två tredjedelar (67,5 %) av de som redan kände sig inneha en hög nivå (4 eller 5). Ett mindre antal (27) upplevde en negativ förändring i kunskapsnivå efter utbildningen jämfört med innan. Det finns ett par tänkbara förklaringar till varför så är fallet. En förklaring kan vara att efter utbildningen har dessa personer insett att de inte visste så mycket som de trodde om informationssäkerhet. Den andra förklaringen är att det har skett ett missförstånd av ordningen på frågorna vid svar av enkäten då båda frågor är snarlika. Diagram 7 Snarlika utgångspunkter för samtliga kommuner. Essunga och Tanum som skiljer sig något åt från andra kommuner genom att ha lite lägre medelvärde. Mölndal skiljer sig däremot med ett något högre medelvärde. Efter utbildningen påvisas en liknande ökning samt slutresultat för alla kommuner. Tanum ser störst ökning (+0,91), Lerum undantaget (på grund av lågt antal svarande), men skillnaden mellan alla kommuner är relativt liten. 9

11 Diagram 8 Denna fråga har som syfte att få individen att tänka till om utbildningen och se över huruvida den faktiskt har fått en effekt på beteende i arbetet. Det är en klar majoritet som faktiskt förändrat sitt beteende, men det finns trots detta över en tredjedel som ej gjort det. Återkommande kommentarer för Beter du dig annorlunda? Respondenterna fick i slutet av enkäten möjlighet att utveckla och motivera sitt tidigare svar där frågan ställdes om individerna ändrat sitt beteende i det dagliga arbetet. Både ja- och nejsidan uppmuntrades lämna en kommentar angående detta. Frågan i formuläret var frivillig men 85% av respondenterna valde att lämna ett svar. Här följer en kort sammanställning av beteenden som respondenterna ändrat: Låser datorn. Ökat medvetenheten och tänker till en extra gång Tänker efter kring hantering av mail Säkrare dokumenthantering Bättre lösenord Försiktig med länkar Använder istället för De flesta personer är tydliga med att det allmänna tänket kring sin dator eller annan enhet på arbetsplatsen förändrats och det råder en annan syn på just 10

12 informationssäkerhet än tidigare. Konsensus för kommentarerna är att de anställda tänker efter före. Generellt sätt har personerna tagit till sig informationen väl och omvandlat denna till kunskap och förändringar i det vanliga arbetet. Utbildningsformen tillät tidsmässigt och koncentrationsmässigt individen att en ta till sig kunskaperna på ett sätt en traditionell utbildning inte hade tillåtit personerna att göra. Vad gäller personer som menar att de inte förändrat sitt beteende efter utbildningen är det framförallt en återkommande kommentar i olika varianter, nämligen att individen i fråga redan kunde innehållet sedan tidigare. Varianter på detta inkluderar för låg nivå eller inga nyheter. Dessa personer var generellt sett personer som ansåg sig besitta väldigt goda kunskaper sedan tidigare (4 eller 5 i tidigare diagram). Ytterligare kommentarer från personer som inte hade förändrat sitt beteende var att utbildningsformen lämpade sig väl för repetition samt bekräftelse av kunskaper. Resultat för utbildningsansvariga Diagram 9 De som är ansvariga för nanoutbildningarna i sina respektive kommuner delar sina medarbetares åsikter vad gäller nanoutbildningar men med ett något högre medelvärde (4,1 mot 3,98). 11

13 Antalet olika kommuner som svarat i denna andra enkät är något högre än i den första enkäten som riktade sig till samtliga nanoutbildningsdeltagare. Anledningen till detta är med stor sannolikhet att dessa extra kommuner valt att ej delta då de redan genomfört liknande undersökningar för sin egen kommun. De som varit ansvariga för utbildningen har fått denna enkät skicka till sig direkt per mail, något som övriga anställda ej fått, vilket gjort dem uppmärksamma på enkäten. Samtliga kommuner som valt att svara på enkäten har uppgett att de förändrad innehållet i utbildningen något. En del kommuner har gjort mindre anpassningar av innehållet medan andra har gjort större modifieringar. Anledningen uppgavs i de flesta fall vara för att utbildningen skulle stämma bättre överens med hur kommunen arbetar eller dess behov. Slutsats I helhet är nanoutbildningskonceptet uppskattat och anses vara ett effektivt sätt att utbilda. Grundnivån för utbildningsdeltagarna har höjts avsevärt. Det finns alltså en bättre utgångspunkt vad gäller informationssäkerhet inom kommunerna. Generellt sett har dessutom kunskapsnivån ökat med ca 24 %. Exkluderat individer som ansåg sig ligga på den högsta möjliga nivån (5), förändrade drygt en fjärdedel av de deltagande inte sin kunskapsnivå efter utbildningen. Av dessa var två tredjedelar (67,5 %) personer som ansåg sig själva redan besitta kunskaper motsvarande 4 av maximalt 5. Vi drar således slutsatsen att nanoutbildningar är väl värda sina kostnader och bör användas inom andra områden än informationssäkerhet också. 12

14 BILAGA 1 Enkätfrågor till utbildningsansvariga 13

15 Enkätfrågor till utbildningsdeltagare 14